HTTPS配置后CDN回源异常：源站协议与证书_HTTPS_SSL证书_
站点上线后，HTTPS是日常维护项。环境一变、版本一升级，原来正常的配置可能失效。不讲理论，直接上操作步骤，附带常见报错的排查思路，适合遇到问题时快速定位。
HTTPS已经是网站标配，但配置过程中容易出问题。证书申请失败、安装后不生效、混合内容警告、跳转死循环，这些都是常见坑。证书类型、验证方式、服务器配置都要对应正确。
下面把操作过程详细写出来，每一步都有明确动作。
申请SSL证书先确认域名解析正确。A记录指向服务器IP，或者CNAME指向CDN。Let's Encrypt用certbot命令申请，certbot certonly --webroot -w /网站根目录 -d 域名.com -d www.域名.com。验证文件自动放在.well-known目录，80端口要能访问。
证书安装到Nginx。配置文件里ssl_certificate指向fullchain.pem，ssl_certificate_key指向privkey.pem。监听443端口，开启ssl。ssl_protocols用TLSv1.2 TLSv1.3，ssl_ciphers用高强度加密套件。配置完nginx -t测试语法，再reload。
强制HTTPS跳转。80端口的server块里return 301 https://$host$request_uri。注意CDN环境下要判断X-Forwarded-Proto，避免跳转死循环。if ($http_x_forwarded_proto != 'https') { return 301 https://$host$request_uri; }
检查混合内容。页面里的图片、CSS、JS如果还是HTTP链接，浏览器会提示不安全。数据库批量替换UPDATE article SET content=REPLACE(content,'http://','https://')。相对路径//开头的资源会自动适配协议，推荐用这种写法。
有几个细节不能忽略，列出来供参考。
CDN环境下改配置注意缓存。改了文件要刷新CDN缓存，否则用户看到旧内容。HTTPS证书要在CDN和源站都装，回源协议要对应。获取真实IP要配置real_ip，否则IP限制和日志都不准。
第三方组件要从官方渠道下载。CMS、插件、模板从官网或者应用市场下载，不要从第三方站点下载破解版、 nulled 版本，这些通常被植入后门。下载后校验MD5或者用病毒扫描工具检查，确认干净再安装。
网站被黑后不要只清后门不修漏洞。清理完恶意代码一定要找入侵入口，弱密码就改密码，上传漏洞就限制上传，CMS漏洞就升级版本。不修补漏洞清除了还会被再次入侵，而且攻击者可能留了多个后门。
表单和用户输入要做验证和过滤。前端验证提升体验，后端验证保证安全，前端可以绕过所以后端必须做。SQL用参数化查询防注入，输出用htmlspecialchars防XSS，上传文件校验类型和大小并重命名。
处理过程中有人问得比较多的问题，整理在下面。
问：网站被黑后搜索引擎降权了能恢复吗？答：能恢复，先彻底清理恶意代码和后门，修补漏洞，然后到百度站长平台提交申诉，说明被黑已处理。持续更新原创内容，正常情况下1到4周收录和排名会逐步恢复。
问：改完配置不生效怎么办？答：先确认改的是正在用的配置文件，多版本PHP或者多站点配置文件路径不一样。改完重载对应服务，清缓存包括CDN缓存和浏览器缓存。用无痕模式或者强制刷新（Ctrl+F5）测试。
运维经验就是踩坑踩出来的。这个问题第一次处理可能要花半天，照着指南做半小时能搞定。处理完把自己的操作过程记下来，补充到运维手册里，下次更快。团队共享手册，新人也能快速上手。
更新时间：2026-08-27 00:10:32